חוקרי אבטחה פרצו למערכות של שתי יצרניות רכב באמצעות סיסמה פשוטה

three white CCTV cameras mounted on wall — Pawel Czerwinski / Unsplash

חוקרי אבטחה הצליחו לחדור למערכות המחשוב של שתי יצרניות רכב גדולות על ידי שימוש בשם משתמש ובסיסמה זהים המורכבים מהמילה אחת בלבד. הפרצה החמורה אפשרה לתוקפים פוטנציאליים לשלוט מרחוק ברכבים, לפתוח את דלתותיהם, להניע את המנועים שלהם ולעקוב אחר מיקומם הגיאוגרפי ללא ידיעת בעלי הרכב. האירוע חשף כשל תצורתי חמור בשרתים של החברות, שבהם הושארו פרטי כניסה ברירת מחדל ידועים ללא שינוי במשך שנים רבות, מה שהותיר את חשבונות הלקוחות ואת כלי הרכב המחוברים חשופים לחלוטין להתקפות חיצוניות.

הפרצה התגלתה על ידי החוקרים סם קורי ושובהם שאה, אשר דיווחו על ממצאיהם בתחילת חודש נובמבר. החוקרים גילו כי שתי היצרניות השתמשו בפלטפורמת ניהול זהות ספציפית לאפליקציות הנייד שלהן. במהלך הבדיקה, הם איתרו קונסולת ניהול טכנית שהייתה מוגנת לכאורה על ידי חומת אש, אך הצליחו לעקוף את ההגנה הזו באמצעות כתובות אינטרנט מתוכננות במיוחד. לאחר עקיפת חומת האש, נתקלו החוקרים במסך כניסה שבו הוגדרו שם המשתמש והסיסמה כמילה הפשוטה אדמין בשתי המערכות הנפרדות. גישה זו העניקה להם הרשאות מלאות להפעלת קוד משלהם על השרת ולניהול רשומות הלקוחות.

בעזרת הגישה שהשיגו, הדגימו החוקרים כיצד ניתן לשנות את כתובת הדואר האלקטרוני והסיסמה של חשבון לקוח קיים מבלי לנתק את ההפעלה הנוכחית של האפליקציה אצל המשתמש האמיתי. מצב זה יצר סיטואציה מסוכנת שבה בעל הרכב ממשיך להשתמש באפליקציה כרגיל ואינו מודע לכך שחשבונו נפרץ, בעוד התוקף שולט לחלוטין בגיבוי ובאימות הדו-שלבי. החוקרים ביצעו בדיקה מעשית על רכב מבחן בארצות הברית, שבו הצליחו לשנות סיסמה, לקבל קוד אימות, לגשת למספר השלדה ולבצע פעולות פיזיות ברכב כמו פתיחת נעילות והנעת המנוע מרחוק.

המחקר הרחיב את היקף האיום מעבר לגבולות ארצות הברית, כאשר אחד החוקרים איתר פרצת אבטחה נוספת במערכות של אותן יצרניות באוסטרליה. במקרה זה, פרטי הכניסה למנהל המערכת היו מוטמעים בתוך הקוד של האפליקציה עצמה. השילוב בין שני המחקרים הראה כי ניתן היה לשלוח פקודות לפתיחת נעילות ולהנעת מנועים לרכבים הממוקמים בארצות הברית, בקנדה ובאוסטרליה. למרות חומרת הממצאים, שמות היצרניות המעורבות לא פורסמו לציבור הרחב לבקשת החברות עצמן, והמידע הוגבל לתיאור הטכני של האירוע.

מיד לאחר שקיבלו את הדיווח מהחוקרים, פעלו שתי החברות במהירות ותיקנו את הפרצות תוך כשעתיים בלבד. התיקון כלל שינוי פרטי הכניסה ברירת המחדל בשרתים, פעולה שלא חייבה את הלקוחות להתקין עדכון תוכנה בטלפונים או ברכבים שלהם. הבעיה זוהתה כנובעת מתצורת אבטחה לקויה בשרתים של היצרניות ולא בתוכנה המותקנת על כלי הרכב. אירוע זה מצטרף למקרים קודמים שבהם נמצאו פרצות דומות בתעשיית הרכב, כולל מערכת ספציפית של יצרנית אחרת שאפשרה בעבר גישה להיסטורית מיקום ולשליטה ברכב, מה שמדגיש את הצורך המתמיד בבדיקות אבטחה מחמירות עבור כלי רכב מחוברים.